Nový typ útoků vysává bankomaty. Finanční ústavy zavádějí protiopatření
17.08.2020
TZ AEC - Praha 17. srpna 2020
Finanční instituce provozující bankomaty od firmy Diebold Nixdorf ohrožují nové typy útoků. Z testů provedených experty společnosti AEC vyplývá, že stávající zařízení s neaktualizovaným systémem nejsou schopna napadením odolat. Útoky na platební terminály, které hojně používají i bankovní domy v České republice a na Slovensku, byly nedávno zaznamenány v mnoha evropských zemích.
O testování svých bankomatů požádala specialisty ze společnosti AEC, předního poskytovatele kybernetického zabezpečení, významná slovenská finanční instituce. Učinila tak poté, co společnost Diebold Nixdorf, jeden z největších dodavatelů bankomatů, na útoky zareagovala oficiálním bezpečnostním varováním. Z něho mimo jiné vyplývá, že výrobce zařízení zkoumá, jak je možné, že útočníci byli zřejmě schopni na neaktualizované verzi bankomatu odposlouchávat komunikaci uvnitř zařízení.
AEC při testování simulovala krok za krokem činnost útočníka. Nejnovější incidenty spadají do kategorie označované jako ATM jackpotting, kdy se útočník dostane pod kryt vybraného zařízení. Zde se pak za pomoci vlastního, speciálně upraveného zařízení připojí na USB port bankomatu a komunikuje přímo s dispenserem, tedy zařízením, které z bankomatu vydává hotovost. Další prověřovanou variantou útoku byla ta, při níž se útočník po připojení k USB portu bankomatu pokusí povýšit svá přístupová práva na úroveň administrátora tak, aby následně mohl obcházet restrikce pro nahrání vlastního kódu.
„Ověřili jsme si, že člověk, který ví, kde hledat, se ke skrytému USB portu bankomatu dostane v řádu sekund,“ upozorňuje Tomáš Sláma, šéf penetračních testerů společnosti AEC, a dodává: „Výsledkem bylo zjištění, že ty bankomaty, které neměly aktualizovaný firmware, nejsou dostatečně odolné proti takovému typu útoku, a lze z nich neoprávněně čerpat hotovost.“
To je podle Tomáše Slámy důvodem, proč by si měla každá zodpovědná banka nechat pravidelně ověřovat odolnost svého zařízení proti nejrůznějším typům zranitelností odborníky tak, jako to v tomto případě učinil jeden z bankovních domů na Slovensku.
Etičtí hackeři AEC se za dobu svého působení etablovali jako špička v oboru kybernetické bezpečnosti. Díky svým rozsáhlým zkušenostem, znalostem a erudici dokážou otestovat zabezpečení systému jakéhokoli bankomatu, a proto jsou pravidelně oslovováni řadou předních světových společností z oblasti bankovnictví. Tým AEC poskytuje komplexní bezpečnostní audit, na jehož základě je schopen klienta upozornit na slabá místa v systému testovaného zařízení a nabídnout mu doporučení, jak zabezpečení nastavit lépe, a výrazně tím snížit riziko zneužití.
„V tomto případě klientům po otestování jejich zařízení jednoznačně doporučujeme aktualizovat firmware,“ říká šéf penetračních testerů AEC a upřesňuje: „Aktualizace zvyšuje úroveň zabezpečení komunikace mezi systémem, který povoluje vydání peněz, a dispenserem. Po její instalaci již zařízení neakceptuje podvržené příkazy útočníka.“
„Ověřili jsme si, že člověk, který ví, kde hledat, se ke skrytému USB portu bankomatu dostane v řádu sekund,“ upozorňuje Tomáš Sláma, šéf penetračních testerů společnosti AEC, a dodává: „Výsledkem bylo zjištění, že ty bankomaty, které neměly aktualizovaný firmware, nejsou dostatečně odolné proti takovému typu útoku, a lze z nich neoprávněně čerpat hotovost.“
To je podle Tomáše Slámy důvodem, proč by si měla každá zodpovědná banka nechat pravidelně ověřovat odolnost svého zařízení proti nejrůznějším typům zranitelností odborníky tak, jako to v tomto případě učinil jeden z bankovních domů na Slovensku.
Etičtí hackeři AEC se za dobu svého působení etablovali jako špička v oboru kybernetické bezpečnosti. Díky svým rozsáhlým zkušenostem, znalostem a erudici dokážou otestovat zabezpečení systému jakéhokoli bankomatu, a proto jsou pravidelně oslovováni řadou předních světových společností z oblasti bankovnictví. Tým AEC poskytuje komplexní bezpečnostní audit, na jehož základě je schopen klienta upozornit na slabá místa v systému testovaného zařízení a nabídnout mu doporučení, jak zabezpečení nastavit lépe, a výrazně tím snížit riziko zneužití.
„V tomto případě klientům po otestování jejich zařízení jednoznačně doporučujeme aktualizovat firmware,“ říká šéf penetračních testerů AEC a upřesňuje: „Aktualizace zvyšuje úroveň zabezpečení komunikace mezi systémem, který povoluje vydání peněz, a dispenserem. Po její instalaci již zařízení neakceptuje podvržené příkazy útočníka.“
O společnosti AEC
AEC patří již od svého založení v roce 1991 k předním poskytovatelům služeb v oblasti kybernetické bezpečnosti. Kvalita nabízených řešení se opírá o dlouholetou praxi v oblasti informační technologií a ověřené standardy, včetně legislativy EU. AEC pomáhá svým klientům řešit ty nejnáročnější bezpečnostní výzvy dneška a zorientovat se v nových produktech a technologiích. Společnost, mezi jejíž zákazníky patří finanční instituce, podniky z oblasti telekomunikací, utilit, ale i instituce veřejné správy, maximalizuje efektivitu svých opatření tím, že dokáže unikátním způsobem kombinovat přístupy a odbornosti etických hackerů, technologických inženýrů, konzultantů i zkušených auditorů.
Vedle toho rovněž disponuje týmy pro specifický servis, jako je forenzní analýza, brandprotection, CSIRT a další, jejichž dostupnost je v České republice stále minimální. Od roku 2019 je AEC členem Aricoma Group, největšího ICT holdingu v regionu Česko-Slovensko. Členové Aricoma Group poskytují komplexní ICT služby pro firemní sféru a coby součást investiční skupiny KKCG jsou základem pro evropskou expanzi ICT aktivit této skupiny. Více se dozvíte na www.aec.cz.
 ATM jackpotting |
